JP2016092547A - 制御システム - Google Patents

Abstract

【課題】制御装置間の通信が一時的に途絶えた原因を判定することのできる制御システムを提供する。
【解決手段】この制御システム１０は、互いに通信を行う統括ＥＣＵ１００及びインバータＥＣＵ２００を備えている。
統括ＥＣＵ１００は、
インバータＥＣＵ２００による定期メッセージの送信が途絶えた期間である途絶期間が生じた場合において、途絶期間が生じた原因が、インバータＥＣＵ２００のリセットによるものか、それとも一時的な通信経路の異常によるものか、を判定する判定部１４０を有する。
判定部１４０は、途絶期間の長さに基づいて、途絶期間が生じた原因の判定を行う。
【選択図】図１

Description

本発明は、互いに通信を行う複数の制御装置を備えた制御システムに関する。

例えばハイブリッド自動車のように複雑な制御を必要とする機器には、単一の制御装置（ＥＣＵ）が備えられることは稀であり、複数の制御装置が備えられるのが一般的である。これら制御装置は、ＣＡＮプロトコル等によって双方向の通信を行い、互いに連携しながら機器の制御を行うように構成される。つまり、複数の制御装置を備えた制御システムによって機器の制御が行われる（例えば下記特許文献１を参照）。

このような制御システムでは、一つの制御装置が何らかの原因でリセットされ、これにより制御装置間の通信が一時的に途絶えてしまう場合がある。制御システムの全体を統括する制御装置（以下、「上位制御装置」とも称する）が、他の制御装置（以下、「下位制御装置」とも称する）からの通信が途絶えたことを検知すると、上位制御装置はエラー処理等の必要な措置を行う。

例えば、ハイブリッド自動車に上記のような制御システムが搭載された場合には、全体の統括制御を行う上位制御装置と、回転モーターの駆動制御を行う下位制御装置との間で通信が行われる。このような構成において、下位制御装置が何らかの原因でリセットされると、下位制御装置に記憶されていた回転モーターの原点に関する情報（磁極位置）が失われてしまう。このため、下位制御装置からの通信が途絶えたことが検知された場合には、上位制御装置は車両を停止させ、回転モーターを停止させた状態で原点学習を再度実行させるような制御を実行することになる。

特開２００４−２５１８９７号公報

ところで、制御装置間における通信の一時的な途絶は、上記のような制御装置のリセットによって生じるほか、制御装置間の通信経路における一時的な異常（通信線の瞬間的な断線等）によっても生じる。例えば、上記のようなハイブリッド自動車において、通信経路における一時的な異常により下位制御装置からの通信が途絶えた場合には、リセットが生じた場合と異なり、下位制御装置において原点に関する情報は失われていない。従って、回転モーターの停止及び原点学習の再実行は不要である。

このように、制御装置間における通信の一時的な途絶が、一つの制御装置のリセットによるものなのか、それとも一時的な通信経路の異常によるものなのかによって、他の制御装置が行うべき処理は異なるものとなる。

しかしながら、上記特許文献１は、通信が途絶えたことを検出するための方法や装置構成のみを示すものであって、通信が途絶えた原因を判定することについては何ら言及がなされていない。通信が一時的に途絶えた原因を判定し、当該原因に応じて適切な処理を行うことについては、従来、具体的な検討はなされていなかった。このため、下位制御装置からの通信が途絶えた場合には、上位制御装置は、通信が途絶えた原因に拘らず、常に同様の処理（例えば、回転モーターの停止及び原点学習の再実行）を行う必要があった。

本発明はこのような課題に鑑みてなされたものであり、その目的は、制御装置間の通信が一時的に途絶えた原因を判定することのできる制御システムを提供することにある。

上記課題を解決するために、本発明に係る制御システムは、互いに通信を行う第１制御装置（２００）及び第２制御装置（１００）を備えた制御システムであって、第１制御装置は、第２制御装置に向けて定期メッセージを繰り返し送信するものであって、リセットが行われた場合には、定期メッセージを準備するための準備期間（Ｔｏ）が終了した後に、第２制御装置への定期メッセージの送信を開始するように構成されている。また、第２制御装置は、第１制御装置による定期メッセージの送信が途絶えた期間である途絶期間が生じた場合において、途絶期間が生じた原因が、第１制御装置のリセットによるものか、それとも一時的な通信経路の異常によるものか、を判定する判定部（１４０）を有している。当該判定部は、途絶期間の長さに基づいて、途絶期間が生じた原因の判定を行う。

本発明に係る制御システムでは、第１制御装置のリセットが行われると、第１制御装置は、先ず通信機能を立ち上げた後、定期メッセージを準備するための準備期間を経てから、第２制御装置への定期メッセージの送信を開始する。通信機能の立ち上げに要する期間の長さ、及び上記準備期間の長さはそれぞれほぼ一定である。

このため、第１制御装置のリセットが行われた場合においては、途絶期間の長さはほぼ一定となる可能性が高い。一方、一時的な通信経路の異常が生じた場合においては、途絶期間の長さは不定（ランダム）となる。このように、途絶期間の長さは、途絶期間が生じた原因に応じて異なったものとなる。本発明はこの点に着目してなされたものであって、本発明に係る制御システムは、途絶期間の長さに基づいて、途絶期間が生じた原因の判定を行うように構成されている。途絶期間が生じた原因の判定が可能となり、途絶期間に続いて第２制御装置によって実行される処理を適切なものとすることが可能となる。

ところで、一時的な通信経路の異常によって生じた途絶期間の長さが不定であることに鑑みれば、当該途絶期間の長さが、第１制御装置のリセットが生じた場合における途絶期間の長さに一致してしまうことも生じ得る。このような場合には、上記のような本発明によっては途絶期間が生じた原因を判定することができない。

そこで、第２制御装置が、上記と同様の判定部と、途絶期間において第１制御装置に向けて通信確認メッセージを送信する送信部（１３１）と、通信確認メッセージに対する応答として第１制御装置から送信される応答メッセージを受信する受信部（１３２）と、を有しており、判定部が、応答メッセージが受信されたか否かに基づいて、途絶期間が生じた原因の判定を行うような態様としてもよい。

既に述べたように、第１制御装置のリセットが行われると、第１制御装置は、先ず通信機能を立ち上げた後、定期メッセージを準備するための準備期間を経てから、第２制御装置への定期メッセージの送信を開始する。このような準備期間においては、第１制御装置からの定期メッセージの送信は未だ開始されないのであるが、第１制御装置と第２制御装置との通信自体は可能な状態となっている。つまり、第１制御装置でリセットが生じた場合における途絶期間には、第１制御装置と第２制御装置との間で通信可能な期間（準備期間）が含まれている。

一方、一時的な通信経路の異常によって途絶期間が生じた場合には、当該途絶期間には上記のような通信可能な期間は含まれていない。そこで、本発明では、途絶期間に通信可能な準備期間が含まれているか否かに基づいて、途絶期間が生じた原因の判定を行うように構成されている。具体的には、途絶期間において第２制御装置から第１制御装置に通信確認メッセージを送信し、これに対して第２制御装置から送信される応答メッセージが受信されたかどうかに基づいて、途絶期間が生じた原因の判定を行うように構成されている。応答メッセージが受信された場合には、途絶期間が生じた原因は第１制御装置のリセットであると判定され、応答メッセージが受信されなかった場合には、途絶期間が生じた原因は一時的な通信経路の異常であると判定される。

このような態様であれば、一時的な通信経路の異常によって生じた途絶期間の長さが、第１制御装置のリセットが生じた場合における途絶期間の長さと一致してしまった場合においても、途絶期間が生じた原因を正確に判定することが可能となる。

以上のように、本発明は、途絶期間の長さ及び途絶期間における第１制御装置の状態が、途絶期間が生じた原因によって異なることに着目してなされたものである。本発明に係る制御システムでは、途絶期間の長さ等に基づいて、途絶期間が生じた原因を正確に判定することができる。

本発明によれば、制御装置間の通信が一時的に途絶えた原因を判定することのできる制御システムが提供される。

本発明の第１実施形態に係る制御システム、及びこれを備えたハイブリッド車両の構成を模式的に示す図である。 通信が一時的に途絶えた際における、ＥＣＵ間の通信状態の変化を示す図である。 統括ＥＣＵにおいて実行される判定処理を示すフローチャートである。 統括ＥＣＵにおいて実行される異常対応処理を示すフローチャートである。 エンジンＥＣＵにおいて実行される異常対応処理を示すフローチャートである。 本発明の第２実施形態に係る制御システムにおける、ＥＣＵ間の通信状態の変化を示す図である。 本発明の第２実施形態に係る制御システムの、統括ＥＣＵにおいて実行される判定処理を示すフローチャートである。 図７における「通常異常判定」の具体的な処理を示すフローチャートである。 図７における「通常確認メッセージ送信」の具体的な処理を示すフローチャートである。 図７における「リセット判定」の具体的な処理を示すフローチャートである。 本発明の第２実施形態に係る制御システムの、インバータＥＣＵにおいて実行される処理を示すフローチャートである。 本発明の第３実施形態に係る制御システムにおける、ＥＣＵ間の通信状態の変化を示す図である。 本発明の第３実施形態に係る制御システムにおける、「リセット判定」の具体的な処理を示すフローチャートである。 インバータＥＣＵのリセットが複数回繰り返された場合における、ＥＣＵ間の通信状態の変化を示す図である。 本発明の第４実施形態に係る制御システムにおける、ＥＣＵ間の通信状態の変化を示す図である。 本発明の第４実施形態に係る制御システムにおける、「通常確認メッセージ送信」の具体的な処理を示すフローチャートである。 本発明の第４実施形態に係る制御システムにおける、「リセット判定」の具体的な処理を示すフローチャートである。 本発明の第５実施形態に係る制御システムにおける、「通常確認メッセージ送信」の具体的な処理を示すフローチャートである。 本発明の第５実施形態に係る制御システムにおける、「リセット判定」の具体的な処理を示すフローチャートである。

以下、添付図面を参照しながら本発明の実施形態について説明する。説明の理解を容易にするため、各図面において同一の構成要素に対しては可能な限り同一の符号を付して、重複する説明は省略する。

図１に示されるように、本発明の第１実施形態に係る制御システム１０は、モーター４１０及びエンジン４２０を備えたハイブリッド自動車（全体は不図示）を制御するためのシステムとして構成されている。尚、本発明の実施態様としてはこのようなものに限られない。本発明に係る制御システムの制御対象は、ハイブリッド自動車以外の装置であってもよい。

制御システム１０は、統括ＥＣＵ１００と、インバータＥＣＵ２００と、エンジンＥＣＵ３００とを備えている。また、制御対象であるハイブリッド自動車は、モーター４１０と、エンジン４２０と、トランスミッション４３０とを備えている。当該ハイブリッド自動車は、モーター４１０による駆動力と、エンジンによる駆動力との両方又は一方がトランスミッション４３０を介して駆動輪（不図示）に伝達され、車両の走行力に変換される構成となっている。

統括ＥＣＵ１００は、ＣＰＵ、ＲＯＭ、ＲＡＭ、及び入出力インターフェースを備えたコンピュータシステムである。後に詳しく説明するように、統括ＥＣＵ１００は、他のＥＣＵ（インバータＥＣＵ２００、エンジンＥＣＵ３００）と通信を行いながら、制御システム１０の全体を統括制御するものである。統括ＥＣＵ１００と他のＥＣＵとの間の通信は、ＣＡＮ通信バスＣＢを介して行われる。

統括ＥＣＵ１００は、機能的な制御ブロックとして、統括部１１０と、時間計測部１２０と、通信制御部１３０と、判定部１４０と備えている。統括部１１０は、統括ＥＣＵ１００において行われる各種の処理を統括する部分である。時間計測部１２０は、所謂タイマーであって、インバータＥＣＵ２００からの通信が途絶えた期間などを計測するために用いられる部分である。

通信制御部１３０は通信のインターフェースとなる部分である。通信制御部１３０は、通信線１０１を介してＣＡＮ通信バスＣＢに接続されている。通信制御部１３０は、送信部１３１と、受信部１３２とを備えている。送信部１３１は、他のＥＣＵに向けた信号をＣＡＮ通信バスＣＢへと送信する部分である。受信部１３２は、他のＥＣＵから送信された信号をＣＡＮ通信バスＣＢから受信する部分である。

判定部１４０は、インバータＥＣＵ２００からの通信が一時的に途絶えた場合において、その原因を判定するための部分である。判定部１４０が行う具体的な処理の内容については後に説明する。

インバータＥＣＵ２００は、モーター４１０の動作を制御するためのコンピュータシステムである。インバータＥＣＵ２００は、モーター４１０に３相の交流電力を供給するインバーター（不図示）の動作を制御し、これによりモーター４１０の動作（駆動力）を制御する。インバータＥＣＵ２００は、機能的な制御ブロックとして、モーター制御部２１０と、モーター情報管理部２２０と、通信制御部２３０とを備えている。

モーター制御部２１０は、モーター４１０の駆動力に関する指令値をインバータに送信する部分である。インバータは、かかる指令値に対応した電流がモーター４１０に供給されるよう、スイッチングによる電力変換を行う。モーター制御部２１０からの上記指令値の送信は、通信線２０２を介して行われる。

モーター情報管理部２２０は、モーター４１０に供給されている電流の測定値や、モーター４１０の温度等、モーター４１０に関する各種情報を管理する部分である。これら情報には、モーター４１０の原点に対する現在の位相（モーター４１０が有する回転軸の回転角度）も含まれている。上記位相は、モーター４１０の回転軸が停止している状態において実行される原点学習（磁極検知動作）によって検出され、以降は回転軸の回転に同期するように更新される。モーター４１０には、電流センサ、温度センサ、エンコーダ等の各種センサが備えられている。それぞれのセンサの測定値は、通信線２０３を介してモーター情報管理部２２０に伝達される。

通信制御部２３０は、統括ＥＣＵ１００の通信制御部１３０と同様に、通信のインターフェースとなる部分である。通信制御部２３０は、通信線２０１を介してＣＡＮ通信バスＣＢに接続されている。通信制御部２３０は、送信部２３１と、受信部２３２とを備えている。送信部２３１は、統括ＥＣＵ１００に向けた信号をＣＡＮ通信バスＣＢへと送信する部分である。受信部２３２は、統括ＥＣＵ１００から送信された信号をＣＡＮ通信バスＣＢから受信する部分である。

エンジンＥＣＵ３００は、エンジン４２０の動作を制御するためのコンピュータシステムである。エンジンＥＣＵ３００は、エンジン４２０が備えるスロットルバルブの開度等を調整することにより、エンジン４２０の回転数やトルクを制御する。エンジンＥＣＵ３００とエンジン４２０とは通信線３０２を介して接続されている。スロットルバルブの開度等に関する指令値は、通信線３０２を介してエンジンＥＣＵ３００からエンジン４２０へと送信される。またエンジン４２０に備えられた各種センサ（開度センサ等）の測定値は、通信線３０２を介してエンジンＥＣＵ３００へとフィードバックされる。

エンジンＥＣＵ３００によるエンジン４２０の制御は、統括ＥＣＵ１００から送信される制御信号に基づいて行われる。エンジンＥＣＵ３００は、通信線３０１を介してＣＡＮ通信バスＣＢに接続されている。統括ＥＣＵ１００とエンジンＥＣＵ３００との間における通信は、通信線３０１及びＣＡＮ通信バスＣＢを介して行われる。

統括ＥＣＵ１００とインバータＥＣＵ２００との間で行われる通信について、図２を参照しながら説明する。図２は、インバータＥＣＵ２００と統括ＥＣＵ１００との間における通信状態の時間変化を模式的に示すものである。インバータＥＣＵ２００は、モーター情報管理部２２０において把握されているモーター４１０の温度等の情報を、定期的に送信部２３１から統括ＥＣＵ１００へと送信している。制御システム１０が正常に動作しているときにおいて、インバータＥＣＵ２００から統括ＥＣＵ１００へと定期的に送信される情報のことを、以下では「定期メッセージ」と称する。定期メッセージには、モーター４１０に関する情報の他、ハイブリッド自動車の制御に必要な他の情報が含まれていてもよい。

定期メッセージには、例えばモーター４１０の温度のように重要度が比較的低い情報と、例えばモーター４１０に供給される電流値のように重要度が比較的高い情報とが含まれている。重要度が比較的低い情報が送信される周期は長く（例えば１００ｍｓｅｃ）、重要度が比較的高い情報が送信される周期は短い（例えば１０ｍｓｅｃ）。

図２（Ａ）には、時刻ｔ１０においてインバータＥＣＵ２００のリセットが生じ、それと同時に定期メッセージの送信が途絶えた後、時刻ｔ３０において定期メッセージの送信が再開された様子が示されている。このようなリセットは、何らかの原因でインバータＥＣＵ２００の再起動が必要となり、外部からインバータＥＣＵ２００にリセット信号が送信されること等により生じうる。

インバータＥＣＵ２００のリセットが生じると、インバータＥＣＵ２００は一時的にその制御機能が停止するので、時刻ｔ１０以降は一時的に定期メッセージが送信されなくなる。時刻ｔ１０でリセットが生じてから、インバータＥＣＵ２００の再起動が完了する時刻ｔ２０までの期間Ｔｒにおいては、インバータＥＣＵ２００と統括ＥＣＵ１００との間における通信は不可能となっている。このような期間Ｔｒの長さは、リセットの原因やタイミング等によって変化することはなく、常にほぼ一定である。

時刻ｔ２０においてインバータＥＣＵ２００の再起動が完了しても、定期メッセージの送信は直ちには開始されない。時刻ｔ２０以降、インバータＥＣＵ２００では、各種センサの状態の確認、及び各種センサから得られた測定値の検証が行われる。インバータＥＣＵ２００は、定期メッセージとして統括ＥＣＵ１００に送信される全ての情報の準備が完了してから（時刻ｔ３０）、定期メッセージの送信を再開するように構成されている。

このような情報の準備に要する期間Ｔｏにおいては、未だ定期メッセージの送信は行われないのであるが、インバータＥＣＵ２００と統括ＥＣＵ１００との間で通信を行うことは可能な状態となっている。期間Ｔｏの長さは、リセットの原因やタイミング等によって変化することはなく、常にほぼ一定である。

図２（Ｂ）には、時刻ｔ１０から時刻ｔ４０までの期間Ｔｕにおいて、通信経路の一時的な異常が生じたときの様子が示されている。このような通信経路の一時的な異常は、コネクタ部分の瞬間的な断線等よって生じうる。通信経路の一時的な異常が生じている期間Ｔｕにおいては、インバータＥＣＵ２００と統括ＥＣＵ１００との間における通信は不可能となっている。通信経路の異常が解消すると（時刻ｔ４０）、インバータＥＣＵ２００からの定期メッセージの送信は直ちに再開される。

図２（Ａ）のようにインバータＥＣＵ２００でリセットが生じた場合には、インバータＥＣＵ２００からの定期メッセージが一時的に途絶える期間（以下、「途絶期間」とも称する）の長さは、常にほぼ一定である（期間Ｔｒ＋期間Ｔｏ）。これに対し、図２（Ｂ）のように通信経路の一時的な異常が生じた場合には、途絶期間の長さは、例えばコネクタ部分の断線が解消するまでの時間であるから、一定とはならない（期間Ｔｕ）。

そこで、第１実施形態に係る制御システム１０では、途絶期間が生じた原因がインバータＥＣＵ２００のリセットによるものなのか、それとも通信経路の一時的な以上によるものなのかを、途絶期間の長さに基づいて判定する。当該判定を行うために統括ＥＣＵ１００等において行われる処理について、図３を参照しながら説明する。

図３は、統括ＥＣＵ１００において実行される処理の流れを示すフローチャートである。図３に示される一連の処理は、統括ＥＣＵ１００の統括部１１０によって一定の周期毎に繰り返し実行されている。

最初のステップＳ１０１では、バスオフ状態かどうか、すなわち、ＣＡＮ通信バスＣＢを通じた通信が不可能な状態かどうかが判定される。例えば、ＣＡＮ通信バスＣＢに異物が混入し、通信線の間が短絡している場合には、通信制御部１３０にはバスオフ状態であることを示すフラグが設定される。また、通信制御部１３０自体において何らかの故障が生じており、これによりバスオフ状態と判定される場合もある。このような場合には、図３に示される処理を終了する。その後、ＣＡＮ通信バスＣＢの異常に対処するためのエラー処理等が別途なされる。

ステップＳ１０１において、バスオフ状態でないと判定された場合には、ステップＳ１０２に移行する。ステップＳ１０２では、インバータＥＣＵ２００からの定期メッセージを受信部１３２で受信するための処理が行われる。

ステップＳ１０２に続くステップＳ１０３では、ステップＳ１０２における処理の結果、インバータＥＣＵ２００からの定期メッセージが受信されたかどうかが判定される。定期メッセージが受信されなかった場合には、ステップＳ１０４に移行する。

ステップＳ１０４では、未受信時間がインクリメントされる。未受信時間とは、インバータＥＣＵ２００からの定期メッセージが統括ＥＣＵ１００に届かなかった期間（つまり途絶期間）の長さを記憶するための変数である。図２の時刻ｔ１０よりも前のように、定期メッセージが受信されているときには、未受信時間の値は０に設定されている（後述のステップＳ１１０参照）。定期メッセージが受信されなくなると、ステップＳ１０４の処理が行われる毎に未受信時間の値が更新される。つまり、時間計測部１２０によって計測された途絶期間の長さが、現時点における未受信時間の値として記憶される。

ステップＳ１０４に続くステップＳ１０５では、未受信時間の値が閾値Ｔｄよりも大きくなったかどうかが判定される。閾値Ｔｄは、統括ＥＣＵ１００とインバータＥＣＵ２００との間の通信に異常が生じたことを判定するための閾値である。未受信時間の値が閾値Ｔｄよりも大きくなっていれば、ステップＳ１０６に移行する。ステップＳ１０６では、途絶期間が生じた原因が、通信経路の一時的な異常（以下、単に「通信異常」とも表記する）であると仮設定される。具体的には、通信異常が生じたことを記憶しておくためのレジスタに１が記憶される。その後、図３に示される処理を終了する。

ステップＳ１０５において、未受信時間の値が閾値Ｔｄよりも大きくなっていなければ、途絶期間が生じた原因の判定を行うことなく、図３に示される処理を終了する。

本実施形態では、定期メッセージに含まれる各種情報のうち、インバータＥＣＵ２００から送信される周期が最も長いもの、の周期が、閾値Ｔｄとして設定されている。従って、ステップＳ１０５において、未受信時間の値が閾値Ｔｄよりも大きくなっているということは、全ての情報が、それぞれ所定の周期では統括ＥＣＵ１００に届かなかった、ということである。このため、インバータＥＣＵ２００からの定期メッセージの送信が途絶えているという判定が正確に行われる。

ステップＳ１０３において定期メッセージが受信された場合、すなわち、一時的に途絶えていたインバータＥＣＵ２００からの定期メッセージの送信が再開された場合には、ステップＳ１０７に移行する。

ステップＳ１０７では、未受信時間の値が、図２に示される期間Ｔｒに期間Ｔｏを加えた期間の長さと略等しいかどうかが判定される。具体的には、未受信時間の値が、「期間Ｔｒ＋期間Ｔｏ−許容誤差時間α」の長さよりも大きく、且つ「期間Ｔｒ＋期間Ｔｏ＋許容誤差時間α」の長さよりも小さいかどうかが判定される。かかる判定は、判定部１４０において行われる。許容誤差時間αは、期間Ｔｒ及び期間Ｔｏのそれぞれの変動幅（生じうる誤差）を考慮して設定される定数である。

ステップＳ１０７において、未受信時間の値が「期間Ｔｒ＋期間Ｔｏ」の長さに略等しいと判定された場合には、ステップＳ１０８に移行する。ステップＳ１０８に移行したということは、途絶期間の長さが「期間Ｔｒ＋期間Ｔｏ」の長さに略等しいということであるから、途絶期間が生じた原因は図２（Ｂ）のような通信経路の一時的な異常なのではなく、図２（Ａ）のようなインバータＥＣＵ２００のリセットである可能性が高い。

そこで、ステップＳ１０８では、途絶期間が生じた原因が、インバータＥＣＵ２００のリセットであると設定される。具体的には、インバータＥＣＵ２００においてリセットが生じたことを記憶しておくためのレジスタに１が記憶される。

ステップＳ１０８に続くステップＳ１０９では、ステップＳ１０６において仮設定されていた情報が取り消される。つまり、通信異常が生じたことを記憶しておくためのレジスタに０が記憶される。

ステップＳ１０９に続くステップＳ１１０では、未受信時間の値に０が設定される。当該ステップを経るので、インバータＥＣＵ２００から定期メッセージが送信されている間は、未受信時間の値は常に０に設定されている。

ステップＳ１０７において、未受信時間の値が「期間Ｔｒ＋期間Ｔｏ」の長さに等しくないと判定された場合には、ステップＳ１０８及びステップＳ１０９を経ることなくステップＳ１１０に移行する。

途絶期間が終了し、インバータＥＣＵ２００からの定期メッセージが再開されたときに、統括ＥＣＵ１００において実行される処理について説明する。図４は、統括ＥＣＵ１００において実行される処理の流れを示すフローチャートである。図４に示される一連の処理は、統括ＥＣＵ１００の統括部１１０によって一定の周期毎に繰り返し実行されている。また、図４に示される一連の処理は、既に説明した図３に示される一連の処理と並行して実行されている。

最初のステップＳ１２１では、インバータＥＣＵ２００においてリセットが生じたかどうかが判定される。具体的には、インバータＥＣＵ２００においてリセットが生じたことを記憶しておくためのレジスタ（図３のステップＳ１０８において書き換えられるレジスタ）に１が記憶されているかどうかが判定される。インバータＥＣＵ２００においてリセットが生じたと判定された場合には、ステップＳ１２２に移行する。

ステップＳ１２２に移行したということは、インバータＥＣＵ２００では直前においてリセットが生じたということである。従って、インバータＥＣＵ２００ではモーター４１０の原点に関する情報が失われており、モーター４１０の回転軸の回転角度と、位相との関係にずれが生じていると推測される。つまり、モーター４１０には三相の交流電圧が供給されているのであるが、モーター４１０では所望の駆動力が生じていないと推測される。このため、統括ＥＣＵ１００は、エンジンＥＣＵ３００に停止信号を送信する。

図５は、エンジンＥＣＵ３００において実行される処理の流れを示すフローチャートである。図５に示される一連の処理は、エンジンＥＣＵ３００によって一定の周期毎に繰り返し実行されている。

最初のステップＳ１３１では、統括ＥＣＵ１００からの停止信号が受信されたかどうかが判定される。停止信号が受信された場合には、ステップＳ１３２に移行する。ステップＳ１３２では、エンジン４２０を停止させ、ハイブリッド自動車の走行を停止させるような制御がなされる。その結果、モーター４１０の回転軸の回転も停止した状態となる。ステップＳ１３１において、停止信号が受信されなかった場合には、図５に示される処理を終了する。

図４に戻って説明を続ける。ステップＳ１２２において、エンジンＥＣＵ３００に停止信号が送信されると、上記のようにハイブリッド自動車の走行は停止し、モーター４１０の回転軸の回転も停止した状態となる。

この状態で、統括ＥＣＵ１００は、モーター４１０の原点学習を再度実行させるように、インバータＥＣＵ２００を制御する。これにより、モーター４１０の回転軸の回転角度と、位相との関係が再び一致した（且つ同期した）状態となり、モーター４１０により所望の駆動力が生じる状態となる。その後は、ハイブリッド自動車の走行が再開される。

ステップＳ１２１において、インバータＥＣＵ２００でリセットが生じなかったと判定された場合には、ステップＳ１２３に移行する。ステップＳ１２３では、統括ＥＣＵ１００とインバータＥＣＵ２００との間において、通信経路の一時的な異常が生じたかどうかが判定される。具体的には、通信異常が生じたことを記憶しておくためのレジスタ（図３のステップＳ１０６において書き換えられるレジスタ）に１が記憶されているかどうかが判定される。通信異常が生じたと判定された場合には、ステップＳ１２４に移行する。通信異常が生じたと判定されなかった場合には、図４に示される処理を終了する。

ステップＳ１２４に移行したということは、統括ＥＣＵ１００とインバータＥＣＵ２００との間の通信経路に何らかの異常が生じており、両者の通信が不安定になっているということである。換言すれば、インバータＥＣＵ２００から統括ＥＣＵ１００に伝達された定期メッセージに含まれる各種情報は、真の情報ではない可能性があるということである。

このため、ステップＳ１２４では、インバータＥＣＵ２００から受信されるそれぞれの値に対してフェール値が設定される。つまり、定期メッセージに含まれる全ての情報がフェール値に置き換えられた状態となり、統括ＥＣＵ１００が行う制御には、インバータＥＣＵ２００から送信された情報が用いられなくなる。以降は、例えばハイブリッド自動車の一部の機能を制限し、退避走行に必要な機能のみを実行し得る状態とする等の対応がとられる。

以上に説明したように、本実施形態に係る制御システム１０の統括ＥＣＵ１００は、インバータＥＣＵ２００による定期メッセージの送信が途絶えた期間である途絶期間が生じた場合において、当該途絶期間が生じた原因が、インバータＥＣＵ２００でリセットが生じたことによるものか、それとも一時的な通信経路の異常によるものか、を判定する判定部１４０を有している。判定部１４０は、途絶期間の長さに基づいて、途絶期間が生じた原因の判定を行うように構成されている。

途絶期間が生じた原因が判定部１４０によって判定されると、統括ＥＣＵ１００は、その判定結果に基づいて適切な処理を行う。具体的には、途絶期間が生じた原因がインバータＥＣＵ２００で生じたリセットであると判定された場合には、統括ＥＣＵ１００は、モーター４１０を停止させるための処理を行い、車両を停止させた状たで原点学習の再実行が行われるような制御を行う。一方、途絶期間が生じた原因が通信経路の一時的な異常であると判定された場合には、統括ＥＣＵ１００は、インバータＥＣＵ２００から送信された定期メッセージに含まれる情報をフェール値として処理するような制御を行う。

以上のように、制御システム１０では、途絶期間が生じた原因の判定を正確に行うことができる。また、途絶期間に続いて統括ＥＣＵ１００によって実行される処理を、上記原因に応じて適切なものとすることが可能となっている。

ところで、一時的な通信経路の異常によって生じた途絶期間の長さが不定であることに鑑みれば、当該途絶期間の長さが、インバータＥＣＵ２００のリセットが生じた場合における途絶期間の長さに一致してしまうことも生じ得る。つまり、図２（Ｂ）に示される期間Ｔｕの長さが、図２（Ａ）に示される期間Ｔｒ＋期間Ｔｏの長さに偶然一致してしまうことも生じうる。このような場合には、図３に基づいて説明した処理によっては、途絶期間が生じた原因を正確に判定することができない。

また、リセット自体が一瞬で終わるのではなく、無視できない一定の期間連続して生じる場合もある。このような場合、途絶期間は期間Ｔｒ＋期間Ｔｏの長さよりも長くなってしまうので、やはり上記の方法では途絶期間が生じた原因を正確に判定することができない。

このような問題を解決し得る態様として、本発明の第２実施形態について説明する。第２実施形態は、統括ＥＣＵ１００及びインバータＥＣＵ２００によってなされる処理の内容のみにおいて第１実施形態と異なっており、その他（ハードウェア構成等）については第１実施形態と同様である。

第２実施形態において行われる制御の概要について、図６を参照しながら説明する。図６は、図２（Ａ）と同様の図であって、時刻ｔ１０においてインバータＥＣＵ２００のリセットが生じ、それと同時に定期メッセージの送信が途絶えた後、時刻ｔ３０において定期メッセージの送信が再開された様子が示されている。図６においても、インバータＥＣＵ２００の再起動が完了した時刻（つまり、期間Ｔｒと期間Ｔｏとの境界である時刻）が、時刻ｔ２０と表記されている。

本実施形態では、リセットによって生じた途絶期間には、通信可能な期間Ｔｏが含まれているのに対し、通信異常によって生じた途絶期間には、通信可能な期間が含まれていないことを利用して、途絶期間が生じた原因を判定することとしている。

具体的には、途絶期間において統括ＥＣＵ１００からインバータＥＣＵ２００に通信確認メッセージが送信される。図６では、通信確認メッセージが送信されるタイミングを、矢印ＡＲ１、ＡＲ２、ＡＲ３により示している。また、それぞれの時刻を、時刻ｔ１１、ｔ１２、ｔ２１としている。

繰り返し送信される通信確認メッセージが、通信不可能な期間ＴｒにおいてインバータＥＣＵ２００に到達しても、インバータＥＣＵ２００はこれに対して何ら応答することができない。一方、通信確認メッセージが、通信可能な期間ＴｏにおいてインバータＥＣＵ２００に到達すると、インバータＥＣＵ２００はこれに対する応答のメッセージ（以下、「応答メッセージ」と称する）を統括ＥＣＵ１００に向けて送信するように構成されている。図６では、応答メッセージが送信されるタイミングを、矢印ＡＲ４により示している。また、応答メッセージが送信される時刻を、時刻ｔ２２としている。時刻ｔ２２は、期間Ｔｏにおいて通信確認メッセージが最初に送信された時刻ｔ２１の直後となる時刻である。

このように、途絶期間においてインバータＥＣＵ２００から応答メッセージが返信された場合には、途絶期間には通信可能な期間Ｔｏが含まれるということであるから、判定部１４０では、途絶期間が生じた原因がインバータＥＣＵ２００のリセットによるものであると判定することができる。

一方、インバータＥＣＵ２００から応答メッセージが返信されないまま途絶期間が終了した場合には、途絶期間には通信可能な期間Ｔｏが含まれないということであるから、判定部１４０では、途絶期間が生じた原因が通信経路の一時的な異常によるものであると判定することができる。

以上のような判定を行うために、統括ＥＣＵ１００等において行われる具体的な処理について、図７乃至図１１を参照しながら説明する。このうち、図７乃至図１０は統括ＥＣＵ１００において行われる処理の内容を示しており、図１１はインバータＥＣＵ２００において行われる処理の内容を示している。

まず、図１１を参照しながら、インバータＥＣＵ２００において行われる処理の内容について説明する。本実施形態に係るインバータＥＣＵ２００は、統括ＥＣＵ１００に向けて定期メッセージを送信する点、及び、リセットが生じた場合には期間Ｔｒ及び期間Ｔｏが経過した後に定期メッセージの送信が再開される点において、第１実施形態に係るインバータＥＣＵ２００と同じである。

一方、本実施形態に係るインバータＥＣＵ２００は、定期メッセージの送信が行われていない状態の期間Ｔｏにおいて、図１１に示される一連の処理を繰り返し実行するように構成されている。

最初のステップＳ１５１では、統括ＥＣＵ１００からの通信確認メッセージを受信部２３２で受信するための処理が行われた後、通信確認メッセージが受信されたかどうかが判定される。通信確認メッセージが受信された場合には、ステップＳ１５２に移行する。通信確認メッセージが受信されなかった場合には、図１１に示される処理を終了する。

ステップＳ１５２では、送信部２３１から統括ＥＣＵ１００に向けて応答メッセージの送信がなされる。その後、図１１に示される処理を終了する。

以上のように、インバータＥＣＵ２００では、定期メッセージの送信が開始されるまでの期間Ｔｏにおいて、統括ＥＣＵ１００からの通信確認メッセージが受信部２３２で受信されると、これに応答して送信部２３１から応答メッセージを送信するように構成されている。

続いて、図７乃至図１０を参照しながら、統括ＥＣＵ１００において行われる処理の内容について説明する。図７に示される一連の処理は、統括ＥＣＵ１００の統括部１１０によって一定の周期毎に繰り返し実行されている。図８に示されるフローチャートは、図７のうちステップＳ２００において実行される具体的な処理を示している。図９に示されるフローチャートは、図７のうちステップＳ３００において実行される具体的な処理を示している。図１０に示されるフローチャートは、図７のうちステップＳ４００において実行される具体的な処理を示している。

図７に示される一連の処理のうち、最初のステップＳ１４１では、バスオフ状態かどうか、すなわち、ＣＡＮ通信バスＣＢを通じた通信が不可能な状態かどうかが判定される。ここで行われる処理は、図３のステップＳ１０１で行われる処理と同一である。バスオフ状態と判定された場合には、図７に示される処理を終了する。その後、ＣＡＮ通信バスＣＢの異常に対処するためのエラー処理等が別途なされる。

ステップＳ１４１において、バスオフ状態でないと判定された場合には、ステップＳ１４２に移行する。ステップＳ１４２では、インバータＥＣＵ２００からの定期メッセージを受信部１３２で受信するための処理が行われる。その後、ステップＳ２００に移行する。

図８に示されるように、ステップＳ２００における最初のステップＳ２０１では、インバータＥＣＵ２００からの定期メッセージが受信されたかどうかが判定される。定期メッセージが受信されなかった場合には、ステップＳ２０２に移行する。ステップＳ２０２では、図３のステップＳ１０４と同様に、未受信時間がインクリメントされる。

尚、定期メッセージが受信されているときには、未受信時間の値は０に設定されている（後述のステップＳ２０５参照）。定期メッセージが受信されなくなると、ステップＳ２０２の処理が行われる毎に未受信時間の値が更新される。つまり、時間計測部１２０によって計測された途絶期間の長さが、現時点における未受信時間の値として記憶される。

ステップＳ２０２に続くステップＳ２０３では、未受信時間の値が閾値Ｔｄよりも大きくなったかどうかが判定される。未受信時間の値が閾値Ｔｄよりも大きくなっていれば、ステップＳ２０４に移行する。ステップＳ２０４では、途絶期間が生じた原因が、通信経路の一時的な異常（通信異常）であると仮設定される。具体的には、通信異常が生じたことを記憶しておくためのレジスタに１が記憶される。その後、ステップＳ３００（図７参照）に移行する。

ステップＳ２０３において、未受信時間の値が閾値Ｔｄよりも大きくなっていなければ、途絶期間が生じた原因の判定を行うことなく、図８に示される処理を終了し、ステップＳ３００（図７参照）に移行する。尚、本実施形態においても、定期メッセージに含まれる各種情報のうち、インバータＥＣＵ２００から送信される周期が最も長いもの、の周期が、閾値Ｔｄとして設定されている。

ステップＳ２０１において定期メッセージが受信された場合、すなわち、一時的に途絶えていたインバータＥＣＵ２００からの定期メッセージの送信が再開された場合には、ステップＳ２０５に移行する。ステップＳ２０５では、未受信時間の値に０が設定される。当該ステップを経るので、インバータＥＣＵ２００から定期メッセージが送信されている間は、未受信時間の値は常に０に設定されている。ステップＳ２０５の処理が終了すると、ステップＳ３００（図７参照）に移行する。

図９に示されるように、ステップＳ３００における最初のステップＳ３０１では、未受信時間の値が閾値Ｔｄよりも大きくなっており、且つ、インバータＥＣＵ２００からの応答メッセージが未受信であるかどうかが判定される。未受信時間の値が閾値Ｔｄよりも小さい場合には、図９に示される処理を終了し、ステップＳ４００（図７参照）に移行する。また、途絶期間が生じた以降において、インバータＥＣＵ２００からの応答メッセージが一度でも受信されている場合（受信履歴が統括ＥＣＵ１００のメモリに記憶されていた場合）にも、図９に示される処理を終了し、ステップＳ４００に移行する。

未受信時間の値が閾値Ｔｄよりも大きくなっており、且つ、インバータＥＣＵ２００からの応答メッセージが未受信であると判定された場合には、ステップＳ３０２に移行する。ステップＳ３０２では、送信部１３１からインバータＥＣＵ２００に向けて、通信確認メッセージが送信される。その後、ステップＳ４００（図７参照）に移行する。このように、応答メッセージが受信されるまでの間、通信確認メッセージが繰り返し送信される。

図１０に示されるように、ステップＳ４００における最初のステップＳ４０１では、未受信時間の値が閾値Ｔｄよりも大きくなったかどうかが判定される。未受信時間の値が閾値Ｔｄよりも大きくなっていれば、ステップＳ４０２に移行する。未受信時間の値が閾値Ｔｄよりも大きくなっていなければ、図７に示される処理を終了する。

ステップＳ４０２では、インバータＥＣＵ２００からの応答メッセージが受信されたかどうかが判定される。途絶期間が生じた以降において、インバータＥＣＵ２００からの応答メッセージが一度でも受信されている場合（受信履歴が統括ＥＣＵ１００のメモリに記憶されていた場合）には、ステップＳ４０３に移行する。

ステップＳ４０３に移行したということは、途絶期間においてインバータＥＣＵ２００からの応答メッセージが届いた、すなわち、インバータＥＣＵ２００が通信可能な状態となっているということである。従って、途絶期間が生じた原因は図２（Ｂ）のような通信経路の一時的な異常なのではなく、図２（Ａ）のようなインバータＥＣＵ２００のリセットによるものである可能性が高い。

そこで、ステップＳ４０３では、途絶期間が生じた原因が、インバータＥＣＵ２００のリセットであると設定される。具体的には、インバータＥＣＵ２００においてリセットが生じたことを記憶しておくためのレジスタに１が記憶される。

ステップＳ４０３に続くステップＳ４０４では、ステップＳ２０４において仮設定されていた情報が取り消される。つまり、通信異常が生じたことを記憶しておくためのレジスタに０が記憶される。その後、図７に示される処理を終了する。

ステップＳ４０２において、インバータＥＣＵ２００からの応答メッセージが一度も受信されていない場合には、図７に示される処理を終了する。以降は、インバータＥＣＵ２００からの応答メッセージ又は定期メッセージのいずれかが受信されるまで、図７に示される処理が繰り返し実行される。

以上のように、本実施形態に係る制御システム１０では、途絶期間が生じた時刻（図６の時刻ｔ１０）からの経過時間が閾値Ｔｄとなった時刻（図６の時刻ｔ１１）以降、統括ＥＣＵ１００からインバータＥＣＵ２００に向けて通信確認メッセージが繰り返し送信される。途絶期間において、インバータＥＣＵ２００が通信可能な状態となると（図６の時刻ｔ２０）、それ以降に送信された通信確認メッセージに対し、インバータＥＣＵ２００から応答メッセージが送信される（図６の時刻ｔ２２、ステップＳ１５２）。

この場合、途絶期間には、インバータＥＣＵ２００が通信可能な期間Ｔｏが含まれているということであるから、判定部１４０は、途絶期間が生じた原因がインバータＥＣＵ２００のリセットであると判定する（ステップＳ４０３）。

一方、インバータＥＣＵ２００からの応答メッセージが一度も受信されないまま、定期メッセージの送信が開始されなかった場合には、途絶期間には、インバータＥＣＵ２００が通信可能な期間Ｔｏが含まれていないということである。従って、判定部１４０は、途絶期間が生じた原因が通信経路の一時的な異常であると判定する（ステップＳ２０４）。

このように、本実施形態では、途絶期間が生じた原因を途絶期間の長さに基づいて判定するのではなく、通信可能な期間Ｔｏの有無に基づいて判定するように構成されている。このため、通信経路の一時的な異常によって生じた途絶期間（期間Ｔｕ）の長さが、リセットが生じた場合における途絶期間（期間Ｔｒ＋期間Ｔｏ）の長さに偶然一致してしまった場合であっても、途絶期間が生じた原因を正確に判定することができる。

また、リセット自体が一瞬で終わるのではなく、無視できない一定の期間連続してリセットが生じた場合であっても、本時嫉視形態によれば、途絶期間が生じた原因を正確に判定することができる。

ところで、通信経路の一時的な異常によって途絶期間が生じた場合において、当該異常が解消し定期メッセージの送信が再開されたタイミングによっては、上記のような判定が正確には行われずに、誤判定が生じてしまう場合がある。

例えば、途絶期間においてステップＳ３０１（図９）の処理が行われた直後に、定期メッセージの送信が再開された場合には、途絶期間が終了した直後であるにも拘らずステップＳ３０２の処理が実行されて、通信確認メッセージがインバータＥＣＵ２００に送信されてしまう。これに対し、インバータＥＣＵ２００からは応答メッセージが送信されるので（図１１のステップＳ１５２）、統括ＥＣＵ１００の判定部１４０では、途絶期間が生じた原因がリセットであると誤判定してしまうことになる（図１０のステップＳ４０３，４０４）。

このような問題を解決し得る態様として、本発明の第３実施形態について説明する。第３実施形態も、統括ＥＣＵ１００及びインバータＥＣＵ２００によってなされる処理の内容のみにおいて第１実施形態と異なっており、その他（ハードウェア構成等）については第１実施形態と同様である。

第３実施形態において行われる制御の概要について、図１２を参照しながら説明する。図１２（Ａ）は、図２（Ａ）や図６に示されたものと同様の図であって、時刻ｔ１０においてインバータＥＣＵ２００のリセットが生じ、それと同時に定期メッセージの送信が途絶えた後、時刻ｔ３０において定期メッセージの送信が再開された様子が示されている。図１２（Ａ）においても、インバータＥＣＵ２００の再起動が完了した時刻（つまり、期間Ｔｒと期間Ｔｏとの境界である時刻）が、時刻ｔ２０と表記されている。

第２実施形態では、インバータＥＣＵ２００から応答メッセージが送信されたか否かのみに基づいて、途絶期間が生じた原因が判定された。これに対し、第３実施形態では、応答メッセージが送信されてから定期メッセージの送信が再開されるまでの期間（以下、「応答時間」とも称する）の長さに基づいて、途絶期間が生じた原因が判定される。

第３実施形態でも、途絶期間において統括ＥＣＵ１００からインバータＥＣＵ２００に通信確認メッセージが繰り返し送信される。通信確認メッセージが送信されるタイミングは、第２実施形態と同様（図６の矢印ＡＲ１、ＡＲ２、ＡＲ３）である。ただし、図１２（Ａ）では、矢印ＡＲ１、ＡＲ２の図示を省略しており、矢印ＡＲ３のみを図示している。

通信確認メッセージが、通信可能な期間ＴｏにおいてインバータＥＣＵ２００に到達すると、インバータＥＣＵ２００は、これに対する応答メッセージを統括ＥＣＵ１００に向けて送信する。

図６と同様に図１２（Ａ）でも、応答メッセージが送信されるタイミングを、矢印ＡＲ４により示している。また、応答メッセージが送信される時刻を、時刻ｔ２２としている。時刻ｔ２２は、期間Ｔｏにおいて通信確認メッセージが最初に送信された時刻ｔ２１の直後となる時刻である。

図１２（Ｂ）は、統括ＥＣＵ１００によって計測される応答時間（途絶期間が終了するまでは仮の値である）の時間変化を示すグラフである。応答時間は、応答メッセージが送信された時刻ｔ２２以降において時間の経過とともに増加する。定期メッセージの送信が再開された時刻ｔ３０における応答時間が、最終的に確定した応答時間ということになる。

図１２（Ａ）に示されるように、応答メッセージは、インバータＥＣＵ２００が通信可能となった時刻ｔ２０の直後（時刻ｔ２２）において送信される。従って、上記のような応答時間の長さは、期間Ｔｏの長さに略一致するはずである。

このため、本実施形態では、計測された応答時間の長さが期間Ｔｏの長さに近い場合には、判定部１４０は、途絶期間が生じた原因がインバータＥＣＵ２００のリセットによるものであると判定する。一方、計測された応答時間の長さが期間Ｔｏの長さから乖離している場合には、判定部１４０は、（応答メッセージが送信されていたとしても）途絶期間が生じた原因が通信異常であると判定する。尚、応答メッセージが送信されないまま定期メッセージの送信が再開された場合には、第２実施形態と同様に、途絶期間が生じた原因が通信異常であると判定する。

以上のような判定を行うために、統括ＥＣＵ１００等において行われる具体的な処理について、図１３を参照しながら説明する。尚、本実施形態の統括ＥＣＵ１００等において行われる処理は、図７のステップＳ４００で行われる処理（途絶期間が生じた原因を判定するための処理）についてのみ第２実施形態と異なっており、その他の処理については第２実施形態と同じである。図１３に示されるフローチャートは、図７のうちステップＳ４００において実行される具体的な処理を示している。つまり、第３実施形態に係る制御システム１０において実行される処理は、図７乃至図１１に示される処理のうち、図１０を図１３に置き換えたもの、ということができる。

図１３において、最初のステップＳ４１１では、未受信時間の値が閾値Ｔｄよりも大きくなったかどうかが判定される。未受信時間の値が閾値Ｔｄよりも大きくなっていれば、ステップＳ４１２に移行する。ステップＳ４１２では、インバータＥＣＵ２００からの応答メッセージが受信されたかどうかが判定される。途絶期間が生じた以降において、インバータＥＣＵ２００からの応答メッセージが一度でも受信されている場合（受信履歴が統括ＥＣＵ１００のメモリに記憶されていた場合）には、ステップＳ４１３に移行する。

ステップＳ４１３では、統括ＥＣＵ１００の記憶装置に記憶されている応答時間がインクリメントされる。尚、定期メッセージが受信されているときには、応答時間の値は０に設定されている（後述のステップＳ４１７参照）。定期メッセージが受信されなくなり、且つ応答メッセージが受信された後には、ステップＳ４１３の処理が行われる毎に応答時間の値が更新される。つまり、時間計測部１２０によって計測された応答時間の長さが、現時点における応答時間の値として記憶される。

ステップＳ４１２において、インバータＥＣＵ２００からの応答メッセージが一度も受信されていない場合には、図７に示される処理を終了する。

ステップＳ４１１において、未受信時間の値が閾値Ｔｄ以下である場合には、ステップＳ４１４に移行する。ステップＳ４１４に移行するのは、定期メッセージの送信が再開されて未受信時間の値が０に設定された場合（ステップＳ２０５）か、ステップＳ２０２でインクリメントされる未受信時間の値が閾値Ｔｄに到達していない場合（つまり途絶期間の開始直後）のいずれかである。まず、前者の場合について説明する。

ステップＳ４１４では、確定した応答時間の値が、図２や図１２に示される期間Ｔｏの長さと略等しいかどうかが判定される。具体的には、応答時間の値が、「期間Ｔｏ−許容誤差時間β」よりも大きく、且つ「期間Ｔｏ＋許容誤差時間β」よりも小さいかどうかが判定される。かかる判定は、判定部１４０において行われる。許容誤差時間βは、期間Ｔｏの変動幅（生じうる誤差）を考慮して設定される定数である。

ステップＳ４１４において、応答時間の値が期間Ｔｏに略等しいと判定された場合には、ステップＳ４１５に移行する。ステップＳ４１５に移行したということは、インバータＥＣＵ２００が通信可能となってから定期メッセージの送信が再開されるまでの期間が、期間Ｔｏに略等しいことが確認されたということである。このため、途絶期間が生じた原因は図２（Ｂ）のような通信経路の一時的な異常なのではなく、図２（Ａ）のようなインバータＥＣＵ２００のリセットによるものである可能性が高い。

そこで、ステップＳ４１５では、途絶期間が生じた原因が、インバータＥＣＵ２００のリセットであると設定される。具体的には、インバータＥＣＵ２００においてリセットが生じたことを記憶しておくためのレジスタに１が記憶される。

ステップＳ４１５に続くステップＳ４１６では、ステップＳ２０４において仮設定されていた情報が取り消される。つまり、通信異常が生じたことを記憶しておくためのレジスタに０が記憶される。

ステップＳ４１６に続くステップＳ４１７では、応答時間の値に０が設定される。ステップＳ４１７に続くステップＳ４１８では、統括ＥＣＵ１００のメモリに記憶されていた応答メッセージの受信履歴が消去される。その後、図７に示される処理を終了する。

ステップＳ４１４において、応答時間の値が期間Ｔｏの長さに等しくないと判定された場合には、ステップＳ４１５及びステップＳ４１６を経ることなくステップＳ４１７に移行する。

ステップＳ２０２でインクリメントされる未受信時間の値が閾値Ｔｄに到達していないことにより、ステップＳ４１１からステップＳ４１４に移行した場合について説明する。この場合、応答時間をインクリメントするステップＳ４１３を一度も通過していないので、ステップＳ４１４の判定は常に「否」となり、ステップＳ４１３、Ｓ４１４を経ることなくステップＳ４１７に移行する。ステップＳ４１７では、（当初より０であった）応答時間の値にあらためて０が設定される。また、続くステップＳ４１８では、（当初より存在しなかった）応答メッセージの受信履歴が消去される。

このように、途絶期間の開始直後においてもステップＳ４１１からステップＳ４１４に移行するのであるが、この場合には特段の処理が行われることなく、図１３及び図７に示される処理が終了することになる。

以上のように、本実施形態に係る制御システム１０では、途絶期間においてインバータＥＣＵ２００から応答メッセージが送信されたか否かのみに基づいて判定が行われるのではなく、応答メッセージが送信されてから定期メッセージの送信が再開されるまでの応答時間の長さに基づいて、途絶期間が生じた原因の判定が行われる。

具体的には、計測された応答時間の長さが期間Ｔｏに略等しいかどうかの判定が行われる（ステップＳ４１４）。応答時間の長さが期間Ｔｏに略等しい場合、すなわち、応答期間の長さが「期間Ｔｏ−許容誤差時間β」から「期間Ｔｏ＋許容誤差時間β」までの範囲内である場合にのみ、途絶期間が生じた原因がインバータＥＣＵ２００のリセットであるとの判定が判定部１４０により行われる。

このため、通信経路の一時的な異常が解消したタイミングにおいて、インバータＥＣＵ２００から応答メッセージが送信されてしまったような場合でも、途絶期間が生じた原因を正確に判定することができる。

ところで、インバータＥＣＵ２００のリセットが生じて途絶期間が開始された後、当該途絶期間が終了する前に再度リセットが生じる場合が考えられる。図１４は、図１２と同様の図であって、時刻ｔ１０において途絶期間が生じた後、定期メッセージの送信が再開されるよりも前の時刻ｔ２５において、再度リセットが生じた場合の様子が示されている。図１４における時刻ｔ１０から時刻ｔ２５までの期間は、図１２における時刻ｔ１０から時刻ｔ３０までの期間よりも短い。

この場合、最初に応答メッセージが送信された時刻ｔ２２から、（２回目のリセット後に）定期メッセージの送信が再開される時刻ｔ４０までの期間は、期間Ｔｏよりも長くなる。このため、図１４（Ｂ）に示されるように、途絶期間がリセットによって生じたにも拘らず、計測される応答時間の長さは期間Ｔｏに略等しくはならない。つまり、第３実施形態における判定方法では、途絶期間が生じた原因を誤判定してしまう可能性がある。

このような問題を解決し得る態様として、本発明の第４実施形態について説明する。第４実施形態も、統括ＥＣＵ１００及びインバータＥＣＵ２００によってなされる処理の内容のみにおいて第１実施形態と異なっており、その他（ハードウェア構成等）については第１実施形態と同様である。

第４実施形態において行われる制御の概要について、図１５を参照しながら説明する。図１５（Ａ）は、図１２（Ａ）に示されたものと同様の図であって、時刻ｔ１０においてインバータＥＣＵ２００のリセットが生じ、その後において定期メッセージの送信が再開された様子が示されている。ただし、リセットは１回だけ実行されるのではなく、時刻ｔ２５において再度実行されるものとする。

図１５（Ａ）においては、１回目のリセット後においてインバータＥＣＵ２００の再起動が完了した時刻が時刻ｔ２０と表記されている。また、２回目のリセット後においてインバータＥＣＵ２００の再起動が完了した時刻が時刻ｔ４０と表記されている。

第３実施形態では、インバータＥＣＵ２００からの応答メッセージが受信された後は、統括ＥＣＵ１００から通信確認メッセージは送信されなかった（ステップＳ３１０参照）。これに対し、第４実施形態では、応答メッセージが受信された時刻ｔ２２以降においても、繰り返し統括ＥＣＵ１００から通信確認メッセージの送信がなされる（図１５の矢印ＡＲ５、ＡＲ６、ＡＲ８、ＡＲ１０）。

ここで、２回目のリセットがなされた後の時刻ｔ３１に、２回目の通信確認メッセージ（矢印ＡＲ５）の送信がなされたとすると、当該通信確認メッセージに対する応答メッセージの送信はなされない。当該通信確認メッセージが送信された時刻ｔ３１、及び、これに対して応答メッセージの送信がなされるはずの時刻ｔ３２は、いずれも、インバータＥＣＵ２００の再起動が完了していない期間Ｔｒに含まれるからである。

その後、インバータＥＣＵ２００の再起動した時刻ｔ４０以降においては、通信確認メッセージが送信される毎に（矢印ＡＲ６、ＡＲ８、ＡＲ１０）、それぞれに対する応答メッセージの送信が繰り返されることとなる（矢印ＡＲ７、ＡＲ９、ＡＲ１１）。

本実施形態では、最初に応答メッセージが送信されてから定期メッセージの送信が再開されるまでの期間（応答時間）の長さに基づくのではなく、応答メッセージが連続して送信された期間の長さ（以下、「連続応答時間」とも称する）に基づいて、途絶期間が生じた原因の判定が行われる。

図１５（Ｂ）は、図１２Ｂと同様のグラフであるが、縦軸が応答時間ではなく連続応答時間となっている。連続応答時間は、応答メッセージが送信された時刻ｔ２２以降において時間の経過とともに増加する。ただし、時刻ｔ３２において、通信確認メッセージに対する応答メッセージの送信が行われなかったことが確認されると、その時点で連続応答時間は０に設定される。その後、応答メッセージが再度送信され始めた時刻ｔ４２（矢印ＡＲ７）以降において、連続応答時間は再び時間の経過とともに増加する。途絶期間が終了し、定期メッセージの送信が再開された時刻ｔ５０における連続応答時間が、最終的に確定した連続応答時間ということになる。

上記のように計測された連続応答時間は、最後になされたリセット後における期間Ｔｏの長さに略等しくなる。このため、本実施形態では、計測された連続応答時間の長さが期間Ｔｏの長さに近い場合には、判定部１４０は、途絶期間が生じた原因がインバータＥＣＵ２００のリセットによるものであると判定する。一方、計測された連続応答時間の長さが期間Ｔｏの長さから乖離している場合には、判定部１４０は、途絶期間が生じた原因が通信異常であると判定する。尚、応答メッセージが送信されないまま定期メッセージの送信が再開された場合には、第２実施形態及び第３実施形態と同様に、途絶期間が生じた原因が通信異常であると判定する。

以上のような判定を行うために、統括ＥＣＵ１００等において行われる具体的な処理について、図１６及び図１７を参照しながら説明する。尚、本実施形態の統括ＥＣＵ１００等において行われる処理は、図７のステップＳ３００で行われる処理（通信確認メッセージを送信するための処理）、及び、図７のステップＳ４００で行われる処理（途絶期間が生じた原因を判定するための処理）についてのみ第２実施形態と異なっており、その他の処理については第２実施形態と同じである。図１６に示されるフローチャートは、図７のうちステップＳ３００において実行される具体的な処理を示している。また、図１７に示されるフローチャートは、図７のうちステップＳ４００において実行される具体的な処理を示している。つまり、第４実施形態に係る制御システム１０において実行される処理は、図７乃至図１１に示される処理のうち、図９を図１６に置き換えて、図１０を図１７に置き換えたもの、ということができる。

図１６において、最初のステップＳ３１１では、未受信時間の値が閾値Ｔｄよりも大きくなったかどうかが判定される。未受信時間の値が閾値Ｔｄ以下であれば、図１６に示される処理を終了し、ステップＳ４００（図７参照）に移行する。未受信時間の値が閾値Ｔｄよりも大きくなっていれば、ステップＳ３１２に移行する。

ステップＳ３１２では、送信部１３１からインバータＥＣＵ２００に向けて、通信確認メッセージが送信される。その後、ステップＳ４００（図７参照）に移行する。

このように、本実施形態では、未受信時間の値が閾値Ｔｄよりも大きくなると、応答メッセージが受信されたか否かに拘らず、通信確認メッセージが繰り返し送信されることとなる。

図１７において、最初のステップＳ４２１では、未受信時間の値が閾値Ｔｄよりも大きくなったかどうかが再度判定される。未受信時間の値が閾値Ｔｄよりも大きくなっていれば、ステップＳ４２２に移行する。

ステップＳ４２２では、インバータＥＣＵ２００からの応答メッセージが受信されたかどうかが判定される。統括ＥＣＵ１００からの通信確認メッセージに対し、応答メッセージが受信された場合には、ステップＳ４２３に移行する。

ステップＳ４２３では、統括ＥＣＵ１００の記憶装置に記憶されている連続応答時間がインクリメントされる。尚、定期メッセージが受信されているときには、連続応答時間の値は０に設定されている（後述のステップＳ４２８参照）。定期メッセージが受信されなくなり、且つ応答メッセージが受信された後には、ステップＳ４２３の処理が行われる毎に連続応答時間の値が更新される。つまり、時間計測部１２０によって計測された連続応答時間の長さが、現時点における連続応答時間の値として記憶される。

統括ＥＣＵ１００から通信確認メッセージが送信されたにも拘らず、これに対するインバータＥＣＵ２００からの応答メッセージが受信されなかった場合（図１４の時刻ｔ３２に相当する）には、ステップＳ４２２からステップＳ４２４に移行する。ステップＳ４２４では、連続応答時間の値が０に設定される。

尚、ステップＳ４２２が実行されるタイミングが、インバータＥＣＵ２００から応答メッセージが送信されるはずのタイミングよりも早い場合には、ステップＳ４２２の判定処理は行われずに、図１７に示される処理は一旦終了するように構成されている。つまり、ステップＳ４２２の処理が実行されるのは、インバータＥＣＵ２００から応答メッセージが送信されたはずのタイミング以降であるにも拘らず、当該応答メッセージが受信部１３２において受信されなかった場合のみ、ということになる。

以上のように、本実施形態では、応答メッセージが最後に連続して受信された期間の長さが、連続応答時間として統括ＥＣＵ１００の記憶装置に記憶される。

ステップＳ４１１において、未受信時間の値が閾値Ｔｄ以下である場合には、ステップＳ４２５に移行する。ステップＳ４２５に移行するのは、定期メッセージの送信が再開されて未受信時間の値が０に設定された場合（ステップＳ２０５）か、ステップＳ２０２でインクリメントされる未受信時間の値が閾値Ｔｄに到達していない場合（つまり途絶期間の開始直後）のいずれかである。まず、前者の場合について説明する。

ステップＳ４２５では、確定した連続応答時間の値が、図２や図１５に示される期間Ｔｏの長さと略等しいかどうかが判定される。具体的には、連続応答時間の値が、「期間Ｔｏ−許容誤差時間γ」よりも大きく、且つ「期間Ｔｏ＋許容誤差時間γ」よりも小さいかどうかが判定される。かかる判定は、判定部１４０において行われる。許容誤差時間γは、期間Ｔｏの変動幅（生じうる誤差）を考慮して設定される定数である。

ステップＳ４２５において、応答時間の値が期間Ｔｏに略等しいと判定された場合には、ステップＳ４２６に移行する。ステップＳ４２６に移行したということは、インバータＥＣＵ２００が（最後のリセットがなされた後に）通信可能となってから定期メッセージの送信が再開されるまでの期間が、期間Ｔｏに略等しいことが確認されたということである。このため、途絶期間が生じた原因は図２（Ｂ）のような通信経路の一時的な異常なのではなく、図２（Ａ）のようなインバータＥＣＵ２００のリセットによるものである可能性が高い。

そこで、ステップＳ４２６では、途絶期間が生じた原因が、インバータＥＣＵ２００のリセットであると設定される。具体的には、インバータＥＣＵ２００においてリセットが生じたことを記憶しておくためのレジスタに１が記憶される。

ステップＳ４２６に続くステップＳ４２７では、ステップＳ２０４において仮設定されていた情報が取り消される。つまり、通信異常が生じたことを記憶しておくためのレジスタに０が記憶される。

ステップＳ４２７に続くステップＳ４２８では、連続応答時間の値に０が設定される。その後、図７に示される処理を終了する。

ステップＳ４２５において、連続応答時間の値が期間Ｔｏの長さに等しくないと判定された場合には、ステップＳ４２６及びステップＳ４２７を経ることなくステップＳ４２８に移行する。

ステップＳ２０２でインクリメントされる未受信時間の値が閾値Ｔｄに到達していないことにより、ステップＳ４２１からステップＳ４２５に移行した場合について説明する。この場合、連続応答時間をインクリメントするステップＳ４２３を一度も通過していないので、ステップＳ４２５の判定は常に「否」となり、ステップＳ４２６、Ｓ４２７を経ることなくステップＳ４２８に移行する。ステップＳ４２８では、（当初より０であった）連続応答時間の値にあらためて０が設定される。

このように、途絶期間の開始直後においてもステップＳ４２１からステップＳ４２５に移行するのであるが、この場合には特段の処理が行われることなく、図１７及び図７に示される処理が終了することになる。

以上のように、本実施形態に係る制御システム１０では、図１２（Ｂ）や図１４（Ｂ）に示される応答時間の長さに基づくのではなく、図１５（Ｂ）に示される連続応答時間の長さに基づいて、途絶期間が生じた原因の判定が行われる。

具体的には、計測された連続応答時間の長さが期間Ｔｏに略等しい場合、すなわち、連続応答期間の長さが「期間Ｔｏ−許容誤差時間γ」から「期間Ｔｏ＋許容誤差時間γ」までの範囲内である場合にのみ、途絶期間が生じた原因がインバータＥＣＵ２００のリセットであるとの判定が判定部１４０により行われる。

このため、途絶期間において複数回のリセットが生じたような場合においても、途絶期間が生じた原因を正確に判定することが可能となる。

ところで、図１６に示されるように、統括ＥＣＵ１００から最初に通信確認メッセージが送信されるのは、未受信時間が閾値Ｔｄよりも大きくなった後である。既に述べたように、閾値Ｔｄは、定期メッセージに含まれる各種情報のうち、インバータＥＣＵ２００から送信される周期が最も長いもの、の周期に等しくなるように設定されている。

このため、極端に送信周期の長い情報が定期メッセージに含まれていた場合には、閾値Ｔｄが、図２に示される「期間Ｔｒ＋期間Ｔｏ」よりも大きくなってしまうことが考えられる。この場合、リセットに伴って途絶期間が開始されても、その後の定期メッセージの送信が再開されるまでの間、通信確認メッセージは一度も送信されないことになってしまう。このため、第４実施形態として示したような方法では、途絶期間が生じた原因を正確に判定することができない。

このような問題を解決し得る態様として、本発明の第５実施形態について説明する。第５実施形態は、統括ＥＣＵ１００及びインバータＥＣＵ２００によってなされる処理の内容のみにおいて第１実施形態と異なっており、その他（ハードウェア構成等）については第１実施形態と同様である。

本実施形態の統括ＥＣＵ１００等において行われる具体的な処理について、図１８及び図１９を参照しながら説明する。尚、本実施形態の統括ＥＣＵ１００等において行われる処理は、第４実施形態における図１６の処理を図１８に置き換えて、図１７の処理を図１９に置き換えたものに相当する。その他の処理は、第４実施形態と同じである。

また、図１８に示される一連の処理は、図１６のステップＳ３１１を新たなステップＳ３２１に置き換えたものに相当する。更に、図１９に示される一連の処理は、図１７のステップＳ４２１を新たなステップＳ４３１に置き換えたものに相当する。このため、以下においては、第４実施形態と異なる部分についてのみ説明し、第４実施形態と共通する部分については説明を省略する。

図１８において、最初のステップＳ３２１では、未受信時間の値が閾値Ｔｃよりも大きくなったかどうかが判定される。閾値Ｔｃは、インバータＥＣＵ２００の再起動に要する期間Ｔｒの長さよりも、僅かに大きな値として設定された定数である。未受信時間の値が閾値Ｔｃ以下であれば、図１８に示される処理を終了し、ステップＳ４００（図７参照）に移行する。未受信時間の値が閾値Ｔｃよりも大きくなっていれば、ステップＳ３１２に移行する。

図１９において、最初のステップＳ４３１では、未受信時間の値が閾値Ｔｃよりも大きくなったかどうかが再度判定される。未受信時間の値が閾値Ｔｃよりも大きくなっていれば、ステップＳ４２２に移行する。その後、既に説明したように、応答メッセージが受信されたかどうかの判定が行われる。

このように、本実施形態では、未受信時間の値が閾値Ｔｃよりも大きくなると、応答メッセージが受信されたか否かに拘らず、通信確認メッセージが繰り返し送信されることとなる。このため、極端に送信周期の長い情報が定期メッセージに含まれていた場合であっても、途絶期間の間に確実に通信確認メッセージが送信される。

尚、上記のような閾値Ｔｃは、少なくとも図２に示される「期間Ｔｒ＋期間Ｔｏ」の長さ（リセットが行われてから、定期メッセージの送信が最短で開始されるまでの期間の長さ）よりも小さな値として設定されていればよい。ただし、閾値Ｔｃが期間Ｔｒの長さよりも小さな値として設定された場合には、インバータＥＣＵ２００が通信不可能であるにも拘らず無駄な通信が行われることになってしまう。このため、本実施形態のように、期間Ｔｒの長さよりも僅かに大きな値として閾値Ｔｃが設定されることが望ましい。このように設定されていれば、インバータＥＣＵ２００において記定期メッセージの準備が開始された直後（すなわち、期間Ｔｒが終了した直後）に、送信部１３１から最初の通信確認メッセージが送信されることとなる。

以上においては、上位ＥＣＵである統括ＥＣＵ１００と、下位ＥＣＵであるインバータＥＣＵ２００との間においてなされる通信について説明した。本発明の適用範囲は、このように下位のＥＣＵが単一である場合に限定されるものではなく、下位ＥＣＵが複数存在する場合にも適用することができる。この場合、それぞれの下位ＥＣＵと上位ＥＣＵとの間において、以上に説明したような通信が行われる。途絶期間が生じた場合には、その原因が下位ＥＣＵのリセットなのか、それとも通信経路の一時的な異常なのかが、それぞれの下位ＥＣＵについて判定されることとなる。

以上、具体例を参照しつつ本発明の実施の形態について説明した。しかし、本発明はこれらの具体例に限定されるものではない。すなわち、これら具体例に、当業者が適宜設計変更を加えたものも、本発明の特徴を備えている限り、本発明の範囲に包含される。例えば、前述した各具体例が備える各要素およびその配置、材料、条件、形状、サイズなどは、例示したものに限定されるわけではなく適宜変更することができる。また、前述した各実施の形態が備える各要素は、技術的に可能な限りにおいて組み合わせることができ、これらを組み合わせたものも本発明の特徴を含む限り本発明の範囲に包含される。

１０：制御システム
１００：統括ＥＣＵ
１３０：通信制御部
１３１：送信部
１３２：受信部
１４０：判定部
２００：インバータＥＣＵ
ＣＢ：ＣＡＮ通信バス

Claims (10)

1. 互いに通信を行う第１制御装置（２００）及び第２制御装置（１００）を備えた制御システムであって、
   前記第１制御装置は、
   前記第２制御装置に向けて定期メッセージを繰り返し送信するものであって、
   リセットが行われた場合には、前記定期メッセージを準備するための準備期間（Ｔｏ）が終了した後に、前記第２制御装置への前記定期メッセージの送信を開始するように構成されており、
   前記第２制御装置は、
   前記第１制御装置による前記定期メッセージの送信が途絶えた期間である途絶期間が生じた場合において、前記途絶期間が生じた原因が、前記第１制御装置の前記リセットによるものか、それとも一時的な通信経路の異常によるものか、を判定する判定部（１４０）を有し、
   前記判定部は、
   前記途絶期間の長さに基づいて、前記途絶期間が生じた原因の判定を行うことを特徴とする制御システム。
2. 互いに通信を行う第１制御装置及び第２制御装置を備えた制御システムであって、
   前記第１制御装置は、
   前記第２制御装置に向けて定期メッセージを繰り返し送信するものであって、
   リセットが行われた場合には、前記第２制御へ送信する定期メッセージを準備するための準備期間が終了した後に、前記第２制御装置への前記定期メッセージの送信を開始するように構成されており、
   前記第２制御装置は、
   前記第１制御装置による前記定期メッセージの送信が途絶えた期間である途絶期間が生じた場合において、前記途絶期間が生じた原因が、前記第１制御装置の前記リセットによるものか、それとも一時的な通信経路の異常によるものか、を判定する判定部と、
   前記途絶期間において、前記第１制御装置に向けて通信確認メッセージを送信する送信部（１３１）と、
   前記通信確認メッセージに対する応答として、前記第１制御装置から送信される応答メッセージを受信する受信部（１３２）と、を有し、
   前記判定部は、前記応答メッセージが受信されたか否かに基づいて、前記途絶期間が生じた原因の判定を行うことを特徴とする制御システム。
3. 前記送信部は、
   前記応答メッセージが受信されるまでの間、前記通信確認メッセージを繰り返し送信するように構成されていることを特徴とする、請求項２に記載の制御システム。
4. 前記第２制御装置は、
   前記応答メッセージが受信されてから、前記第２制御装置による前記定期メッセージの送信が開始されるまでの期間の長さが所定範囲内である場合にのみ、前記途絶期間が生じた原因が前記リセットによるものであると判定することを特徴とする、請求項２に記載の制御システム。
5. 前記送信部は、前記応答メッセージが受信された後においても、前記通信確認メッセージを繰り返し第２制御装置に送信するように構成されており、
   前記判定部は、それぞれの前記通信確認メッセージに対する前記応答メッセージが連続して受信された期間の長さが所定範囲内である場合にのみ、前記途絶期間が生じた原因が前記リセットによるものであると判定することを特徴とする、請求項２に記載の制御システム。
6. 第１制御装置からの前記定期メッセージの送信が途絶えた後、前記送信部から最初の前記通信確認メッセージが送信されるまでの期間である待機期間（Ｔｃ）は、
   前記第２制御装置においてリセットが行われてから、前記定期メッセージの送信が最短で開始されるまでの期間よりも短いことを特徴とする、請求項５に記載の制御システム。
7. 前記待機期間は、
   前記第１制御装置においてリセットが行われてから、前記定期メッセージの準備が開始されるまでの期間（Ｔｒ）よりも長いことを特徴とする、請求項６に記載の制御システム。
8. 前記第１制御装置において前記定期メッセージの準備が開始された直後に、前記送信部から最初の前記通信確認メッセージが送信されるよう、前記待機期間の長さが設定されていることを特徴とする、請求項７に記載の制御システム。
9. 前記第１制御装置を複数備えたことを特徴とする、請求項１乃至８のいずれか１項に記載の制御システム。
10. 前記第１制御装置はハイブリッド自動車に搭載された回転モーター（４１０）の制御を行うものであり、
    前記第２制御装置は前記ハイブリッド自動車の統括制御を行うものであって、
    前記第２制御装置は、
    前記途絶期間が生じた原因が、前記第１制御装置の前記リセットによるものであると判定された場合には、前記回転モーターを停止させるための処理を行い、
    前記途絶期間が生じた原因が、一時的な通信経路の異常によるものであると判定された場合には、前記第１制御装置から送信された前記定期メッセージに含まれる情報をフェール値として処理するように構成されていることを特徴とする、請求項１乃至８のいずれか１項に記載の制御システム。

Images